Тестването чрез социално инженерство оценява дали атакуващите биха могли да повлияят на служители, екипи по поддръжка, доставчици или физически контроли да разкрият информация, да одобрят действия или да предоставят достъп. Услугата е предназначена за организации, които се нуждаят от контролирани доказателства за уязвимости в хората и процесите, а не само от статистика за завършено обучение за осведоменост.
Целта е реалистичните вериги за атака да бъдат валидирани безопасно, а техническите слабости да се превърнат в приоритети за корекции.
Обхватът се определя съвместно с Вас преди началото на каквато и да е работа. В зависимост от целта, средата и разрешения достъп ангажиментът може да включва:
Съгласуваме целевите групи, изключените лица, събирането на данни, безопасните полезни товари, условията за прекратяване и комуникацията.
Създаваме претекст и сценарии, релевантни за ролите, доставчиците и бизнес процесите на организацията.
Използваме контролирана среда и предотвратяваме ненужното събиране на чувствителна информация.
Измерваме действията, докладването, верификацията и ескалацията, вместо да разчитаме единствено на честотата на кликванията.
Предоставяме целенасочени препоръки, обучения и възможности за повторно тестване.
Всичко, което предаваме, е насочено както към ръководството, така и към хората, които ще предприемат действия по него. В зависимост от обхвата резултатите могат да включват:
Тестването се управлява чрез писмено разрешение, изрични изключения, граници за безопасност и аварийни контакти. Съществените констатации се валидират ръчно, подкрепят се с възпроизводими доказателства и се обясняват през призмата на реалистичното въздействие, а не само чрез степента на тежест, отчетена от скенер.
Ангажиментът може да се опира на насоките на NIST за осведоменост по сигурността, признати етични практики за тестване чрез социално инженерство и приложимите изисквания за поверителност и трудови отношения. Позоваването на дадена рамка описва как структурираме работата; то само по себе си не представлява сертификация, акредитация или регулаторно решение.
Сроковете се определят след съгласуване на обхвата и варират според размера на средата и наличността на доказателства и заинтересовани страни.
Тестването трябва да бъде пропорционално, разрешено и съобразено с поверителността. То не бива да унижава служителите, да събира ненужни идентификационни данни или да създава опасни оперативни последици. Рутинните обучителни симулации и офанзивните оценки чрез социално инженерство трябва да остават ясно разграничени.
Обсъдете тестването чрез социално инженерство с нас. Кратка сесия за определяне на обхвата потвърждава целта, границите, доказателствата, модела на предоставяне и резултатите, преди да изготвим предложение.
Обхватът се определя съвместно с Вас преди началото на каквато и да е работа. Типичните области включват сценарии за имейл фишинг и целеви spear-phishing, телефонен vishing и тестове за верификация на екипите за поддръжка, сценарии чрез SMS или платформи за сътрудничество, когато са одобрени, и физическо проникване, промъкване след служител или предтекст/сценарий при изрично разрешение. Изключенията, необходимият достъп, Вашите отговорности и критериите за приемане са изложени в предложението и обхвата на работа.
Резултатите зависят от договорената цел и могат да включват план на сценариите и запис за разрешението, резултати по сценарий, роля и организационно звено, наблюдения върху процесните контроли и верификацията, и показатели и ограничения, съобразени с поверителността. Всяка значима констатация е обвързана с доказателства, бизнес въздействие, приоритет и ясен отговорник за следващата стъпка.
Разрешеното тестване може да създаде риск, ако е слабо контролирано. Сайбър Тех Груп съгласува времевите прозорци за тестване, забранените техники, условията за прекратяване и аварийните контакти преди началото на работата и използва по-рискови техники само с изрично одобрение.
Повторното тестване може да бъде включено в първоначалния обхват или възложено след корекциите. То валидира предишно потвърдените констатации и тясно свързаните с тях условия за заобикаляне; то не представлява автоматично цялостна нова оценка.
Сроковете се определят след съгласуване на обхвата и варират според размера на средата и наличността на доказателства и заинтересовани страни.
Тези услуги отговарят на свързани, но различни въпроси. Определянето на обхвата установява дали тестването чрез социално инженерство, фишинг симулациите или координирана програма е най-малкият полезен подход без дублиране на работата.
Тестването трябва да бъде пропорционално, разрешено и съобразено с поверителността. То не бива да унижава служителите, да събира ненужни идентификационни данни или да създава опасни оперативни последици. Рутинните обучителни симулации и офанзивните оценки чрез социално инженерство трябва да остават ясно разграничени.
